я не enterprise
Ну свой подними, там делов немного
inqfen
Roman
такой же аргумент можно вообще к облакам применить
Felix
вот представь что приложения просто берут переменные окружения или конфиг-файл, без волта
а в переменные окружения эти секреты как должны попасть?
Глеб
Если бы я сам менеджил все секреты, то я бы лично хранил их в гите. Но политика партии такова, что все секреты прода менеджит IT и очень трудно на это как-то повлиять, так что нужен сервис которым будет управлять IT через который мы будем менеджить секреты, для этого нужен ui и rbac. Да и ещё его должны будут заапрувить безопасники
Andor
а туда из оператора например, не принципиально
Felix
в гите хранить?
Andor
можно и в гите
Andor
если хочется
Felix
вот и приехали
inqfen
Только не в коде приложения, а в коде конфигурации тогда уж
Felix
https://kubernetes.io/docs/concepts/configuration/secret/
да ссылку видел выше. пока добавил в избранное, уже завтра почитаю. спасибо)
Roman
я и в коде конфигурации не хочу
Roman
у меня все было в aws secret manager
inqfen
IaC
Roman
доступ только для самых самых
Andor
можно в гите, можно через оператора выгружать откуда-то из сикретохранилища, опций больше двух
Roman
все конечно зарание дефайнится и все от туда берется терраформом по data source
inqfen
Ох уж эти натыкивальщики ручками
Andor
можно в гиткрипте, можно ещё в куче вариантов
Aleksander
секрет плюс оператор = волт)
Roman
еще ansible vault предложите ))
Roman
я так делал это был просто пипец
Felix
много людей имеют доступ в гит?
девы, доступа к продовским секретам иметь не должны. хранить их в отдельной приватной репе, что бы в момент деплоя подсовывать куда то в папку или лить в кластер это банально не удобно
Andor
девы, доступа к продовским секретам иметь не должны. хранить их в отдельной приватной репе, что бы в момент деплоя подсовывать куда то в папку или лить в кластер это банально не удобно
сикрет не надо лить в кластер, если он там уже есть
inqfen
еще ansible vault предложите ))
Это лучше чем руками куда-то засунуть и ждать, что оно там будет вечно
Andor
можешь сделать отдельный репозиторий с сикретами и не давать туда доступ всем подряд
Felix
секреты можно генерить на этапе их создания
не все увы. секреты приложений часто используются для хеширования тех же паролей. перегенеришь секрет, перестанут хеши паролей совпадать.
плюс есть креды от баз. это первое что на ум приходит. а так да, было бы круто
Andor
можешь сделать гиткрипт
Aleksander
Это лучше чем руками куда-то засунуть и ждать, что оно там будет вечно
а секреты со временем удаляются?)
inqfen
можешь сделать отдельный репозиторий с сикретами и не давать туда доступ всем подряд
Из него и заполнять хоть vault хоть сикреты
𝚔𝚟𝚊𝚙𝚜
девы, доступа к продовским секретам иметь не должны. хранить их в отдельной приватной репе, что бы в момент деплоя подсовывать куда то в папку или лить в кластер это банально не удобно
у вас может быть два окружения, в обоих секреты могут называться одинаково, девы могут читать и смотреть секерты из девел, в прод не могут, но при деплое они будут автоматически подхватываться
inqfen
И нет твоих сикретов
Andor
Из него и заполнять хоть vault хоть сикреты
верно, вот только без волта это всё ещё легче и проще
inqfen
Ну и в коде не можешь посмотреть, а что собственно у тебя есть
Aleksander
Etcd твоя удалиться со временем в результате падения
на gke кто-то с таким сталкивался? там мастер нода вообще не в твоей власти
inqfen
верно, вот только без волта это всё ещё легче и проще
Если юзаешь не только куб, волт иногда очень удобен, единый подход к хранению
Andor
знаете же есть старая статья "вы не гугл"?
Andor
вот про волт надо аналогичную
Felix
у вас может быть два окружения, в обоих секреты могут называться одинаково, девы могут читать и смотреть секерты из девел, в прод не могут, но при деплое они будут автоматически подхватываться
опять же вопрос в том где хранить эти продовские секреты. все вопросы и проблемы сводятся именно к этому вопросу.
для себя мы приняли решение что волт отлично с этим справляется. инфраструктурно проблем он тоже не вызвал. так что мы пока довольны
inqfen
на gke кто-то с таким сталкивался? там мастер нода вообще не в твоей власти
Ну у них как-то куб в регионе падал
Andor
Если юзаешь не только куб, волт иногда очень удобен, единый подход к хранению
ты можешь из не-кубера читать сикреты кубера если очень надо
inqfen
В этот момент ни у кого никаких сикретов не было
𝚔𝚟𝚊𝚙𝚜
опять же вопрос в том где хранить эти продовские секреты. все вопросы и проблемы сводятся именно к этому вопросу.
для себя мы приняли решение что волт отлично с этим справляется. инфраструктурно проблем он тоже не вызвал. так что мы пока довольны
хранить в etcd, переодически ротейтить и конечно же бэкапить
Roman
@Andor поделись мудростью) что тут произходит ) https://dpaste.de/wotd/raw
Andor
@Andor поделись мудростью) что тут произходит ) https://dpaste.de/wotd/raw
не знаю, я не юзаю DO
Roman
хранить в etcd, переодически ротейтить и конечно же бэкапить
etcd есть as-a-service где нибудь?
inqfen
У меня например несколько проектов, часть из них вообще куб не юзают
Aleksander
Roman
тогда тебе в docker swarm :D
inqfen
А я не могу хранить сикреты одного проекта в другом
Felix
Если юзаешь не только куб, волт иногда очень удобен, единый подход к хранению
это кстати да. в том числе у нас это single source of true
Andor
это кстати да. в том числе у нас это single source of true
а должен быть код, иначе у вас не Infrasctructure-as-code
Felix
хранить в etcd, переодически ротейтить и конечно же бэкапить
ну и в чем тогда преимущество перед волтом? тоже самое, только транится в открытом виде
𝚔𝚟𝚊𝚙𝚜
etcd есть as-a-service где нибудь?
есть etcd оператор например, но я имел ввиду kube api сервер
𝚔𝚟𝚊𝚙𝚜
ну и в чем тогда преимущество перед волтом? тоже самое, только транится в открытом виде
в отсутствии лишних компонентов, можно не в открытом
inqfen
Волт для доступа всего к сикретам, задаются в коде
Roman
есть etcd оператор например, но я имел ввиду kube api сервер
я имел ввиду реально etcd as a service, как mongo atlas или RDS
inqfen
А к нему могут пойти хоть куб, хоть ансибл хоть жук и жаба
Felix
а должен быть код, иначе у вас не Infrasctructure-as-code
не путай пожалуйста мягкое и теплое.
инфраструктура и есть инфраструктура она описана кодом. а секреты это всего лишь данные. не публичные.
ты же в бд хранишь данные о пользователях? и нет этих данных в коде? правильно? тут тоже самое.
и никакого отношения к инфраструктуре как кодц тут нет
Andor
inqfen
не путай пожалуйста мягкое и теплое.
инфраструктура и есть инфраструктура она описана кодом. а секреты это всего лишь данные. не публичные.
ты же в бд хранишь данные о пользователях? и нет этих данных в коде? правильно? тут тоже самое.
и никакого отношения к инфраструктуре как кодц тут нет
Сикреты тоже её часть могут быть
Roman
sensetive data не когда не должны быть частью конфига
Roman
все выносится в secret manager всегда
𝚔𝚟𝚊𝚙𝚜
etcd есть as-a-service где нибудь?
мне кажется вам bitwarden зашел бы, это эдакий keepass, но мультиюзерный и с api.
Roman
это уже 5 лет как практикуется и это best practise
Roman
мне кажется вам bitwarden зашел бы, это эдакий keepass, но мультиюзерный и с api.
да только terraform provider нету под него ) вообще я думал написать свой)